對於許多初入行的資安分析師或工程師來說，傳統的釣魚郵件偵測邏輯通常是掃描郵件內容、檢查 URL 是否在黑名單中，或者在沙箱中開啟網頁看是否會跳轉到惡意域名。然而，近期出現的一波名為 EvilTokens 的攻擊活動揭露了一種名為 Ghost Phishing（幽靈釣魚）的新手法，這種技術讓傳統的靜態掃描幾乎完全失效。
什麼是 Ghost Phishing 幽靈釣魚
幽靈釣魚的核心在於將惡意內容隱藏在加密的資料中，直到網頁在受害者的瀏覽器中執行時才解密。
在一般的釣魚攻擊中，安全設備（如郵件閘道器或網頁過濾器）會抓取 URL 的 HTML 原始碼進行分析。但幽靈釣魚使用了 AES-GCM（一種高效能且具備認證功能的對稱加密演算法）對 HTML 內容進行加密。當安全設備請求該網頁時，接收到的是一段無法閱讀的加密亂碼，因此掃描工具會認為該頁面沒有惡意特徵，判定為安全。
真正的攻擊發生在瀏覽器端。當受害者的瀏覽器載入頁面後，內建的 JavaScript 會在客戶端執行解密動作，將惡意內容還原並動態渲染到 DOM（文件物件模型，即瀏覽器呈現網頁的結構）中。這意味著惡意內容只存在於受害者的記憶體與瀏覽器畫面中，而不在網路傳輸的靜態封包裡。
利用 Microsoft 裝置碼流程進行帳號劫持
除了隱藏內容，這次 EvilTokens 攻擊還結合了 Microsoft Device Code Phishing（微軟裝置碼釣魚）。
這是一種非常狡猾的權限奪取方式。攻擊者不需要直接竊取使用者的密碼，而是引導受害者完成微軟官方的裝置碼登入流程。簡單來說，攻擊者會生成一個合法的裝置登入請求，然後誘騙使用者在自己的設備上輸入該代碼並授權。一旦使用者完成授權，攻擊者就能直接獲取該帳號的存取權限，繞過了傳統的密碼輸入環節，甚至在某些情況下能避開部分多因素驗證（MFA）。
這種手法導致的直接後果是 Microsoft 365 帳號被接管，攻擊者可以輕易讀取企業郵件、存取雲端文件，甚至以此帳號發起進一步的商業電子郵件詐騙（BEC）。
為什麼這對 SOC 團隊是巨大的挑戰
對於安全營運中心（SOC）的分析師來說，幽靈釣魚創造了一個嚴重的可視性缺口（Visibility Gap）。
首先是偵測延遲。由於靜態 URL 檢查失效，攻擊者在環境中潛伏的時間會大幅增加。
其次是調查困難。當 Tier 1 分析師發現異常並嘗試分析該連結時，如果僅依賴傳統的網路截包或靜態分析，看到的依然是加密資料，這會導致分析師得出錯誤的結論，認為該連結無害，進而延誤阻斷時間。
最後是證據缺失。因為惡意行為發生在瀏覽器動態渲染之後，如果沒有能夠監控瀏覽器內部 DOM 變動的互動式沙箱，分析師將無法獲取真正的攻擊指標（IOCs），如後端 API 端點或最終的跳轉路徑。
如何有效對抗幽靈釣魚
要對付這種攻擊，必須將分析視角從網路層（Network Level）移至瀏覽器層（Browser Level）。
建議採用支援互動式分析的沙箱環境。這類工具能讓分析師觀察到網頁解密後的真實面貌，記錄 DOM 的快照變動，並追蹤 Fetch 或 XHR 等非同步請求。透過監控瀏覽器行為，分析師可以發現網頁在解密後嘗試連接到微軟的 /api/device/start 端點，從而揭露其裝置碼釣魚的本質。
對於工程團隊而言，應意識到單純的 URL 掃描已不足夠，必須建立能分析動態執行行為的偵測機制，並縮短從發現異常到確認惡意行為的反應時間，以防止單一帳號被盜演變成大規模的企業資安事件。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。